2. ИНТРО
• Мое личное мнение – предмет обсуждения…
• … но я использую его в работе
• Не являюсь экспертом конкретно по безопасности мобильных
устройств…
• … но по безопасности вообще
• Для меня это один из множества ИТ-проектов с участием безопасности
• … но он знаковый, так как «заметен» высшему руководству
• Я не юрист
3. ПОЗИЦИЯ ИНФОРМАЦИОННОЙ
БЕЗОПАСНОСТИ
• Основана на анализе рисков
• Обречены учитывать только текущие векторы атак
• Безопасность – это компромисс
• Бизнес вправе выбирать….
• …. но мы должны объяснить
4. О «PRIVACY» И ПЕРСОНАЛИЗАЦИИ
• Устройства – собственность Компании
• Допускается использование исключительно в
производственных целях
• Приравнивается к корпоративному ПК
• Обрабатываемая информация – собственность Компании
5. ЦЕЛИ БИЗНЕСА
• Ускорение процесса принятия решений за счет повышения
мобильности своих сотрудников пользователь чувствует
себя как «в офисе»
• С минимально возможными рисками безопасности попав
на устройство информация не ухудшила свои свойства
(«КЦД»)
Практически любая технология так или иначе ослабляет ИБ,
поэтому любое внедрение должно иметь объективную бизнес-
потребность
7. ЧТО ЗАЩИЩАЕМ?
• Данные на устройстве
• Данные в информационной системе
• Инфраструктуру (?)
8. ЦЕЛИ ЗАЩИТЫ (О «КЦД») ?
• Конфиденциальность – обеспечить, что передаваемые и
хранимые данные не могут быть прочитаны
неавторизованным
• Целостность – обнаруживать любые изменения в
передаваемые и хранимые данные
• Доступность – обеспечить, что пользователи могут
получать доступ к данным
9. КОГО/ЧЕГО БОИМСЯ (МОДЕЛЬ НАРУШИТЕЛЯ) ?
• Пользователь устройства:
• Умышленная компрометация данных на устройстве
Вероятность Низкая
• Неумышленная --- // --- Вероятность Высокая
• Внутренний пользователь:
• Сетевая атака на ИС Вероятность Средняя
• Внешний «хакер»:
• Сетевая атака на ИС Вероятность Высокая
• Сетевая атака на устройство Вероятность Средняя
• Атака на устройство (exfiltration) Вероятность Высокая
10. ПОЧЕМУ БОИМСЯ?
• Беда с физической безопасностью
Утрата устройства
• Работа в «агрессивных средах»
Сетевая атака на устройство
• Возможность установки небезопасных приложений
Компрометация данных через недоверенное приложение
• Интеграция с другими системами
Компрометация данных через передачу в недоверенную систему
• Использование недоверенного контента
… почти как про приложения
• Определение местоположения
Могут выследить
11. КОНТРОЛИ БЕЗОПАСНОСТИ (ТЕХНИЧЕСКИЕ)
• Беда с физической безопасностью
Пароль; Автоблокировка; Шифрование; Удаленная чистка (?)
• Работа в «агрессивных средах»
Контроль приложений
• Возможность установки небезопасных приложений
Контроль приложений
• Интеграция с другими системами
Запрет Облаков
• Использование недоверенного контента
Контроль приложений
• Определение местоположения
Выключить
12. КОНТРОЛИ БЕЗОПАСНОСТИ (ПРОЧИЕ)
• Использование только авторизованными пользователями
• Использование только авторизованных устройств
• Показывать на устройство не больше, чем нужно
• Обучение пользователей (инструктаж, памятка)
• Круглосуточная «горячая линия» для сообщения об утере
• Доступ к ресурсам только с контролируемого устройства
13. • Шифрованный и взаимно аутентифицированный канал от устройства до
Системы (VPN)
• Харденинг серверов, доступных для подключения из Интернет:
• Лишнее выключить,
• То, что включено, настроить безопасно.
• Минимальный доступ из Интернет в ДМЗ и из ДМЗ в ЛВС (Сегментация)
• Контроль целостности программной среды серверов в ДМЗ
• Антивирус,
• Реальные системы контроля целостности
• Мониторинг серверов в ДМЗ
• Сетевой периметр:
• IDSIPS
• Межсетевой экран
• Прокси
БЕЗОПАСНОСТЬ ИНФРАСТРУКТУРЫ (БАЯНЫ)
14. НОВОЕ ЗАБЫТОЕ СТАРОЕ – «ЗАЩИТА» ОТ ИТ
• Лемма 1. Нелояльность админа не компенсируется
техническими контролями
• Лемма 2. Чем лучше хочется «защититься», тем
меньше возможности поддержки
• Следствие. Если нужен доступ только тебе, что-то
придется делать только тебе
• Лемма 3. Превентивно – только криптография и SOD.
• Лемма 4. Детективно – масса вариантов, но может
быть поздно.
15. Этапы процесса
сопровождения
Конфигурирование Использование
Объекты
доступа
Субъекты
доступа
Шифрованный
ключевой
контейнер
Пароль
шифрованного
ключевого
контейнера
Почтовый
ящик
пользователя
Секретный
ключ в
хранилище
устройства
Почтовый
ящик
пользователя
Группа поддержки
пользователей
Нет доступа Есть доступ Нет доступа Нет доступа Нет доступа
Системные
администраторы
Нет доступа Нет доступа Есть доступ Нет доступа Есть доступ*
Администраторы
удостоверяющего
центра
Есть доступ Есть доступ Нет доступа Есть доступ** Нет доступа
Необходимый
набор полномочий
Есть доступ Есть доступ Есть доступ Есть доступ Есть доступ
КОНКРЕТНЫЙ ПРИМЕР – S/MIME
* По умолчанию прав нет, но, будучи системные администраторами, технически могут присвоить себе права.
** Имя доступ к шифрованному контейнеру и паролю от него, технически имеют возможность установки секретного ключа
на свое устройство
16. ОБ IOS
• Штатные средства безопасности:
• Шифруется при установке пароля
• Полный контроль приложений
• Изоляция приложений, нет доступа к общей
файловой системе
• Множество штатных ограничений: установка
приложений, использование камеры, сохранять скриншоты и
т.п.
• Удаленная «зачистка» (Remote wipe)
• Сетевые: SSLTLS, IPSec, WPAWPA2802.11i, 802.11x, ….
• Но как это все оживить с запретом отключения?
17. MOBILE DEVICE MANAGEMENT
• «комплайнс» - наше все!
• Пусть не идеально, но у всех одинаково
• Управление должно быть дешевым
• Но не все риски адресованы…. IDC WW Mobile Security
18. УСТРОЙСТВО РЫНКА MDM
В 2011 ГОДУ
• Лидеры: Good, Sybase (SAP),
AirWatch, MobileIron
• Все остальные – нишевые игроки
• Функционал MDM по мнению Gartner:
• Установка ПО
• Контроль политики
• Инвентаризация
• Управление настройками безопасности
• Управление телекоммуникационными
сервисами
20. ВЫХОД ИЗ-ПОД AFARIA
• Описание риска: пользователь iOS всегда может деинсталлировать
приложение Afaria
• Надо гарантировать получение доступа только с устройств под
Afaria
Аутентификация устройства по сертификату, установленному Afaria
• При удалении Afaria удаляются и корпоративные данные
Установка всех офисных приложений с помощью Afaria
Удаление Afaria приводит к удалению всего, что через нее установлено
… «Корпоративная заливка»….
21. ЧТО ЕСТЬ В ПРИРОДЕ?
• По каждой ОС есть свое руководство по
безопасности. Пример – «iOS Security».
• NIST SP 800-124 Revision 1 (DRAFT).
Guidelines for Managing and Securing
Mobile Devices in the Enterprise.
• Периодика
• Семинары и Web-касты
• Здравый смысл
22. ВОПРОСЫ?
Спасибо за Ваше внимание!
Сергей Солдатов, CISA, CISSP
OOO «РН-Информ»
reply-to-all.blogspot.com
